Autoridade certificadora afirma que certificados digitais e sistemas de emissão não foram comprometidos. Ainda não esclareceu se documentos expostos estavam associados à validação de certificados TLS/SSL.
A DigiCert, uma das principais autoridades certificadoras do mercado internacional, confirmou um incidente de segurança que permitiu o acesso não autorizado a informações arquivadas de clientes, incluindo dados pessoais e, em determinados casos, documentos utilizados em procedimentos de identificação.
O episódio teve origem em uma migração de infraestrutura realizada em 4 de fevereiro de 2025, quando um sistema interno, anteriormente protegido por uma rede privada virtual (VPN), tornou-se acessível pela internet.
A configuração inadequada permaneceu por mais de 16 meses. Segundo o relatório oficial da empresa, o acesso indevido aos dados ocorreu entre 27 de junho e 2 de julho de 2026, mas a exposição das informações somente foi confirmada em 19 de outubro.
O caso ganhou repercussão internacional em 5 de novembro, quando veículos especializados divulgaram informações sobre as notificações encaminhadas aos clientes. Em 6 de novembro, novas reportagens detalharam a cronologia do incidente e as deficiências identificadas nos controles de segurança.
A DigiCert apresentou um relatório completo no Bugzilla da Mozilla, sistema utilizado para registrar e acompanhar incidentes de conformidade envolvendo autoridades certificadoras participantes dos programas de confiança dos navegadores.
Documentos de identidade estavam entre os dados acessados
Segundo a DigiCert, os registros acessados indevidamente continham principalmente nomes, endereços de e-mail corporativos, números de telefone e endereços comerciais.
Em uma pequena parcela das contas de clientes, também havia documentos fornecidos pelos próprios titulares ou representantes, como passaportes, carteiras de motorista, contas de serviços públicos e outros comprovantes contendo nomes e endereços.
Essas informações merecem atenção porque o sistema comprometido armazenava dados fornecidos por representantes de clientes para comprovação de identidade, conforme a descrição apresentada pela própria DigiCert.
A empresa informou que o incidente atingiu uma pequena proporção dos dados arquivados, mas não divulgou publicamente o número total de pessoas ou organizações afetadas.
Também não apresentou uma relação dos países de origem dos titulares envolvidos.
Até o momento, não há confirmação pública de que clientes brasileiros estejam entre os afetados.
Presença da DigiCert no mercado brasileiro
A DigiCert possui presença comercial no mercado brasileiro por meio de diferentes modalidades de contratação e distribuição de suas soluções.
Entre os parceiros identificados oficialmente está a Certisign, cuja relação comercial com a DigiCert consta no diretório internacional de parceiros da companhia.
O mercado brasileiro também reúne provedores de hospedagem, infraestrutura e serviços de segurança que comercializam certificados SSL/TLS, como Locaweb, UOL Host, SAN Internet e HostGator Brasil. Entretanto, a comercialização de certificados SSL/TLS por essas empresas não comprova, por si só, uma relação comercial direta e atualmente vigente com a DigiCert.
Há ainda revendedores especializados, como CertSuperior Brasil e SSL.com.br/TargetTrust, cujas relações comerciais atuais com a fabricante precisam ser confirmadas individualmente.
Além dos canais de distribuição, organizações podem contratar diretamente soluções corporativas da DigiCert, incluindo gerenciamento de certificados digitais e infraestrutura de chaves públicas (PKI).
O portfólio internacional da companhia também contempla marcas como GeoTrust, RapidSSL e Thawte.
Até o momento, não existe confirmação de que empresas brasileiras, parceiros comerciais ou seus clientes tenham sido afetados pelo incidente.
Como uma migração de infraestrutura abriu caminho para o acesso indevido
A investigação identificou uma combinação de falhas de configuração, autenticação e autorização.
Durante a migração realizada em fevereiro de 2025, um sistema interno de negócios foi transferido de um segmento de rede restrito por VPN para uma zona de disponibilidade que permitia acesso externo.
A aplicação utilizava uma plataforma de gerenciamento de contas que possuía um recurso de autocadastro destinado a outras finalidades.
Esse mecanismo acabou permitindo a criação de contas externas sem a exigência de autenticação multifator (MFA).
Embora essas contas não estivessem vinculadas a uma aplicação específica, uma deficiência nos controles de autorização permitia que usuários não autorizados consultassem registros arquivados de clientes.
O acesso era limitado à leitura das informações. Não permitia alterar registros, aprovar validações ou emitir certificados digitais.
Entretanto, a permissão de leitura foi suficiente para permitir o acesso indevido a dados pessoais e documentos armazenados no sistema.
O incidente demonstra como uma alteração de infraestrutura, combinada com controles insuficientes de autorização, pode comprometer informações sensíveis sem que haja necessidade de quebrar algoritmos criptográficos.
DigiCert identificou contas suspeitas em junho, mas só confirmou o acesso aos dados em outubro
Um dos aspectos mais relevantes do incidente está no intervalo entre os primeiros sinais de atividade não autorizada e a confirmação da exposição das informações.
Em 18 de junho de 2026, a equipe interna da DigiCert identificou contas que não pertenciam a seus funcionários.
Na ocasião, a avaliação inicial concluiu, incorretamente, que essas contas não tinham acesso aos dados porque não estavam associadas a uma aplicação.
Em 21 de junho, a empresa recebeu um alerta de seu programa de pesquisa de segurança sobre a possibilidade de criação de contas externas.
A investigação posterior identificou que uma conta não autorizada havia consultado registros arquivados entre 27 de junho e 2 de julho.
A correção da falha de autorização foi implementada em 2 de julho, encerrando a janela de acesso identificada.
Em 9 de julho, a DigiCert também restringiu o acesso ao sistema por meio de regras adicionais no firewall de aplicações web.
Entretanto, somente em 12 de outubro a empresa passou a suspeitar especificamente de acesso não autorizado aos dados arquivados.
A confirmação ocorreu em 19 de outubro, mais de três meses depois do encerramento do período de acesso indevido.
A cronologia evidencia duas questões distintas: a exposição prolongada de um sistema interno à internet e a demora para reconhecer que a atividade não autorizada havia resultado em acesso a informações de clientes.
Certificados digitais e sistemas de emissão não foram comprometidos, afirma a DigiCert
A DigiCert declarou expressamente em seu relatório oficial que nenhum certificado digital foi afetado pelo incidente.
Segundo a empresa, seus serviços de autoridade certificadora, a plataforma CertCentral e o DigiCert ONE permaneceram seguros.
A companhia informou que os sistemas responsáveis pelas operações de certificação funcionam em segmentos de rede separados e não foram atingidos pelo acesso externo identificado.
A investigação também não encontrou atividades de validação, emissão ou revogação de certificados associadas à conta não autorizada.
A DigiCert afirma que as credenciais de acesso dos clientes e os certificados digitais emitidos permanecem seguros, válidos e confiáveis.
Dessa forma, segundo a companhia, não há necessidade de substituir ou reemitir certificados digitais ativos em decorrência desse incidente.
Essa distinção é fundamental para compreender a natureza do episódio.
Não há evidências apresentadas pela DigiCert de comprometimento das chaves criptográficas, dos sistemas de emissão ou da integridade dos certificados digitais TLS/SSL.
Entretanto, a confirmação de que os certificados não foram afetados não esclarece integralmente a natureza dos documentos de identidade armazenados no sistema comprometido.
A segurança dos certificados emitidos e a proteção dos documentos utilizados nos processos de identificação de clientes são dimensões diferentes da confiança digital.
Documentos utilizados na validação de certificados TLS/SSL exigem atenção especial
Um aspecto particularmente sensível do incidente envolve a natureza das informações que podem integrar os procedimentos de validação de certificados digitais TLS/SSL, especialmente aqueles emitidos com Validação Estendida (Extended Validation, EV).
De acordo com a documentação oficial da DigiCert, a emissão de certificados EV exige verificações da existência jurídica, física e operacional da organização solicitante, além da confirmação da identidade e da autoridade dos representantes envolvidos na solicitação e aprovação da emissão.
Esses procedimentos podem envolver responsáveis corporativos e representantes legais autorizados a agir em nome da organização.
Em determinadas circunstâncias, a validação também pode exigir declarações profissionais emitidas por advogados ou contadores habilitados, utilizadas como evidências para confirmar informações sobre a organização solicitante.
A DigiCert prevê procedimentos para verificar a habilitação e as informações profissionais desses signatários.
Esses dados podem ter elevado valor para tentativas de engenharia social e fraudes direcionadas, especialmente quando associados a documentos pessoais, vínculos corporativos e informações sobre poderes de representação.
O acesso indevido a informações dessa natureza poderia facilitar tentativas de personificação de representantes empresariais ou abordagens fraudulentas direcionadas a profissionais responsáveis por autorizar operações.
Entretanto, a DigiCert não confirmou que os documentos acessados indevidamente incluíam registros específicos de validação EV, declarações profissionais de advogados ou contadores ou documentos comprobatórios dos poderes de representantes legais.
Também não esclareceu publicamente se os documentos expostos estavam associados à validação de certificados TLS/SSL, a outras modalidades de certificados digitais ou a diferentes procedimentos de identificação de clientes.
Portanto, não é possível afirmar que informações de representantes legais, advogados ou contadores tenham sido comprometidas em decorrência de processos de validação EV.
Essa é uma questão que exige esclarecimento direto da companhia, especialmente considerando o valor potencial dessas informações para fraudes de identidade e ataques direcionados contra organizações.
Medidas corretivas e revisão dos controles de segurança
Após identificar as falhas, a DigiCert adotou medidas para restringir o acesso ao sistema e reforçar os mecanismos de proteção.
Entre as providências divulgadas estão a desativação do recurso de autocadastro, a revisão das permissões de acesso, a restrição da conectividade dos sistemas internos e a implementação de mecanismos adicionais de monitoramento.
A companhia também realizou testes de segurança, redefiniu senhas de usuários do sistema interno e estabeleceu controles adicionais para mudanças de infraestrutura que possam alterar a exposição de aplicações à internet.
O relatório completo apresenta um plano com 13 medidas corretivas e preventivas.
Na atualização publicada em 6 de novembro, a DigiCert informou a conclusão da medida relacionada ao monitoramento automatizado de criação inesperada de contas e alterações de permissões.
A confirmação, por auditoria interna, de que nenhum servidor de origem do sistema de negócios permanecia acessível externamente ainda constava como pendente no relatório consultado.
DigiCert anuncia 13 medidas após identificar falhas de segurança
Em seu relatório oficial apresentado à comunidade de autoridades certificadoras da Mozilla, a DigiCert detalhou 13 medidas corretivas e preventivas para enfrentar as deficiências identificadas no incidente.
As ações incluem bloqueio de acessos externos, correção dos mecanismos de autorização, desativação do autocadastro de contas, redefinição de senhas, testes de penetração, revisão de permissões, implantação de alertas de segurança e mudanças nos procedimentos de aprovação de alterações de infraestrutura.
Até 6 de novembro de 2026, a companhia havia declarado a conclusão de 12 medidas, incluindo a revisão dos alertas automatizados para criação de contas e alterações de permissões. Permanecia sem confirmação pública de conclusão a auditoria interna destinada a verificar se algum servidor de origem do sistema ainda estava acessível externamente.
O conjunto das providências evidencia que o incidente não decorreu de uma falha criptográfica, mas de deficiências nos controles de acesso, na gestão de mudanças e na capacidade de detectar atividades não autorizadas.
As 13 medidas anunciadas pela DigiCert
A relação abaixo é uma tradução resumida e fiel das ações descritas no relatório, preservando os prazos e o status informado.
| Nº | Medida | Prazo | Situação |
|---|---|---|---|
| 1 | Bloquear no WAF o endpoint de autocadastro de contas do sistema interno. | 18/06/2026 | Concluída |
| 2 | Corrigir a autorização para retornar HTTP 401 a contas sem aplicação atribuída, impedindo o acesso aos dados arquivados. | 02/07/2026 | Concluída |
| 3 | Restringir os endereços do sistema ao tráfego VPN, mantendo apenas exceções externas expressamente autorizadas. | 09/07/2026 | Concluída |
| 4 | Exigir aprovação da equipe de segurança e atualização do inventário de ativos para alterações de acessibilidade de ferramentas internas. | 28/08/2026 | Concluída |
| 5 | Realizar teste de penetração no sistema afetado e em ferramentas internas relacionadas, corrigindo os problemas identificados. | 31/08/2026 | Concluída |
| 6 | Implementar alertas de acesso a arquivos e volume de requisições, independentes do WAF e encaminhados ao SOC. | 15/10/2026 | Concluída |
| 7 | Redefinir as senhas dos usuários do sistema interno e validar a rejeição de acessos não autorizados. | 17/10/2026 | Concluída |
| 8 | Desativar o recurso de autocadastro nas instâncias do sistema interno. | 24/10/2026 | Concluída |
| 9 | Migrar os endpoints ainda expostos para balanceadores com IP privado e endereços internos. | 24/10/2026 | Concluída |
| 10 | Designar um responsável formal pela segurança do sistema, incluindo WAF, monitoramento e revisão de acessos. | 29/10/2026 | Concluída |
| 11 | Revisar permissões pelo princípio do menor privilégio e exigir autorização individual por endpoint. | 30/10/2026 | Concluída |
| 12 | Confirmar por auditoria interna que nenhum servidor de origem do sistema permanece acessível externamente. | 06/11/2026 | Sem conclusão confirmada |
| 13 | Revisar alertas automatizados para criação inesperada de contas e alterações de permissões, com encaminhamento à equipe de segurança. | 06/11/2026 | Concluída, conforme atualização posterior |
O que o incidente representa para o mercado de certificação digital
O episódio merece atenção especial porque envolve uma empresa cuja atividade está diretamente associada à construção e manutenção da confiança nas transações eletrônicas.
A DigiCert fornece certificados TLS/SSL, soluções de PKI e tecnologias utilizadas para proteger comunicações, autenticar sistemas e estabelecer relações de confiança entre organizações e serviços digitais.
Autoridades certificadoras dependem de processos rigorosos para verificar identidades, administrar informações de clientes e preservar a integridade dos sistemas que sustentam a emissão de certificados.
Entretanto, a segurança dessas organizações não se limita à proteção das chaves criptográficas ou à infraestrutura diretamente envolvida na emissão.
Sistemas administrativos, arquivos históricos, plataformas de atendimento e repositórios de documentos também fazem parte do ambiente de risco.
No caso da DigiCert, a segregação dos sistemas de autoridade certificadora é apontada pela própria empresa como um dos fatores que impediram que o acesso não autorizado atingisse as operações de emissão e validação.
Ao mesmo tempo, o incidente evidencia a importância de aplicar controles rigorosos aos sistemas que armazenam documentos de identificação e informações pessoais.
Para organizações que dependem de certificados digitais e serviços de confiança, o caso reforça a necessidade de avaliar não apenas a segurança criptográfica de seus fornecedores, mas também seus processos de gestão de identidades, autorização, armazenamento de documentos e resposta a incidentes.
O que ainda precisa ser esclarecido
Apesar das informações divulgadas, permanecem questões relevantes para o mercado internacional e brasileiro.
A DigiCert ainda não informou publicamente o número total de pessoas e organizações afetadas, nem apresentou uma distribuição geográfica dos clientes envolvidos.
Também não esclareceu quais modalidades de certificados ou serviços estavam associadas aos documentos arquivados que foram acessados indevidamente.
Entre os pontos que merecem respostas estão a eventual presença de documentos utilizados na validação de certificados EV, os procedimentos de proteção de informações de representantes corporativos e a existência de clientes brasileiros entre os afetados.
Outro aspecto importante é a identificação dos atuais parceiros comerciais da DigiCert no Brasil e a extensão das comunicações encaminhadas às empresas que comercializam suas soluções.
O Crypto ID está solicitando esclarecimentos à companhia para aprofundar essas questões e identificar eventuais repercussões para o mercado brasileiro.
A reportagem será atualizada à medida que novas informações oficiais forem disponibilizadas.
Quase 90% das empresas planejam adotar criptografia pós-quântica, mas só 7% avançaram na implantação
eMudhra abandona o mercado de SSL/TLS, e Chrome remove uma de suas raízes nesta terça
Falha na geração de chaves na Índia explica bloqueio emergencial do Go conforme noticiamos ontem
Acompanhe no Crypto ID a cobertura do cenário mundial de certificados digitais TLS, que protegem as comunicações, autenticam servidores e contribuem para a segurança das transações eletrônicas em todo o mundo.
Com uma cobertura especializada e abrangente, o Crypto ID acompanha a evolução do mercado internacional de certificação digital, as principais autoridades certificadoras, os padrões tecnológicos, as mudanças regulatórias e os desafios que impactam a infraestrutura global de confiança digital. Acesse aqui!
Crypto ID, referência em informação sobre identidade, criptografia e confiança digital.
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
